Base de Connaissances

Le 12 novembre 2026, entre 11 h 00 et 13 h 00 MST (18 h 00 et 20 h 00 UTC), DigiCert modifiera la hiérarchie d’émission TLS publique par défaut, en passant des hiérarchies racines DigiCert Global G2 et G3 aux hiérarchies racines TLS DigiCert G5 dédiées.

Cet article s’adresse aux clients DigiCert qui doivent continuer à utiliser nos hiérarchies TLS DigiCert Global G2 et G3 actuellement définies par défaut au-delà du 12 novembre 2026. Il explique ce qui change le 12 novembre, ce qui ne change pas, le calendrier de migration des racines Global G2 et G3, ainsi que la manière dont vous pouvez contrôler l’autorité de certification intermédiaire (ICA) émettrice via CertCentral, CertCentral Services API, ACME et les intégrations tierces.

Pour comprendre pourquoi DigiCert aligne ses hiérarchies racines sur les nouvelles exigences des navigateurs, consultez Stratégie de DigiCert relative aux racines: alignement sur les nouvelles normes du secteur.

Dans cet article

• Qu’est-ce qui change le 12 novembre 2026?
• Que faire si je ne suis pas prêt à migrer vers la hiérarchie racine G5?
• Calendrier de transition des racines Global G2 et G3
• Sélection de la chaîne de certificats ICA
• Intégrations CertCentral Services API
• ACME Directory URLs
  
  

Qu’est-ce qui change le 12 novembre 2026?

Le 12 novembre 2026, DigiCert fera des hiérarchies TLS G5 le chemin d’émission par défaut pour les certificats TLS WebPKI publics. CertCentral utilisera par défaut la hiérarchie racine émettrice G5 applicable pour émettre les nouveaux certificats, les renouvellements, les réémissions et les duplicatas lorsqu’aucune ICA n’est explicitement sélectionnée.

CertCentral Global - ICA G5 par défaut

CertCentral Europe - ICA G5 par défaut

Le 27 octobre 2027, DigiCert a ajouté les certificats d’autorité de certification intermédiaire (ICA) GeoTrust G5 au tableau.

Certificats racines G5 à signature croisée de CertCentral

DigiCert a commencé à ajouter les racines TLS G5 aux magasins de confiance, notamment celui de Microsoft, à partir de 2021. Depuis, l’omniprésence et la disponibilité des racines G5 n’ont cessé de croître. Toutefois, vous ne pouvez pas garantir que chaque navigateur, système d’exploitation ou application utilisé par un client a déjà été mis à jour pour inclure les racines G5.

Ajoutez la racine à signature croisée à la chaîne de certificats de votre serveur afin que les certificats TLS émis à partir des hiérarchies racines DigiCert G5 restent approuvés, même lorsque la racine G5 est absente du magasin de confiance d’un client. Il s’agit d’une étape de configuration côté serveur qui ne nécessite aucune intervention de la part des visiteurs de votre site. Consultez Certificats d’autorité racine de confiance DigiCert pour obtenir une copie d’une racine à signature croisée.

La plupart des clients doivent utiliser la signature croisée G2 pour les certificats RSA et la signature croisée G3 pour les certificats ECC ci-dessous. Utilisez uniquement la signature croisée G1 si vous prenez en charge certains systèmes plus anciens qui nécessitent encore la confiance G1.

Racine à signature croisée G2 pour les certificats TLS RSA

ICA G5 RSA avec signature croisée G2, recommandée : fonctionne avec la quasi-totalité des navigateurs et systèmes d’exploitation, anciens comme récents.

Racine à signature croisée G3 pour les certificats TLS ECC

ICA G5 ECC avec signature croisée G3, recommandée : fonctionne avec la quasi-totalité des navigateurs et systèmes d’exploitation, anciens comme récents.

Racine à signature croisée G1 pour les certificats TLS RSA

ICA G5 RSA avec signature croisée G1, cas particulier pour les systèmes hérités : destinée à certains systèmes plus anciens qui nécessitent la confiance G1 ; elle n’est pas nécessaire dans la plupart des scénarios de rétrocompatibilité (la signature croisée G2 couvre déjà ces scénarios).

Que faire si je ne suis pas prêt à migrer vers la hiérarchie racine G5?

Vous pouvez continuer à utiliser le certificat ICA Global G2 ou G3 approprié après le 12 novembre si DigiCert a activé la fonctionnalité de sélection de l’ICA pour votre compte. Cette fonctionnalité vous permet de sélectionner le certificat ICA utilisé pour émettre votre certificat TLS: G2, G3 ou G5. Consultez Sélection de la chaîne de certificats ICA ci-dessous.

Jusqu’au 8 juin 2027, aucune exception spéciale n’est requise pour continuer à utiliser les hiérarchies racines Global G2 et G3 après la modification de la hiérarchie par défaut. Toutefois, la hiérarchie racine G5 est la hiérarchie TLS publique que DigiCert utilisera à l’avenir. Profitez de la période de transition pour identifier et migrer vers les hiérarchies G5 toutes les dépendances restantes aux hiérarchies racines Global G2 et G3.
 

Calendrier de transition des racines Global G2 et G3

Si vous continuez à utiliser les hiérarchies racines Global G2 et G3 après le 12 novembre 2026, prévoyez une réduction de la durée de validité de vos certificats TLS. Les certificats émis à partir de ces hiérarchies expireront au plus tard le 14 septembre 2027 à 23:59 UTC. Le tableau ci-dessous répertorie les dates clés de cette transition.

Réduction de la durée de validité des certificats TLS

La réduction de la durée de validité des certificats n’est pas continue. Elle s’interrompt pendant environ 12 semaines, du 15 mars au 8 juin 2027. La limite de validité de 99 jours applicable à l’ensemble du secteur, qui entre en vigueur le 15 mars, suffit à elle seule à réduire la durée de validité de sorte que les nouveaux certificats expirent de nouveau au plus tard le 14 septembre 2027 UTC. Pour les comptes disposant d’une exception approuvée, la réduction spécifique aux certificats G2 et G3 reprend le 8 juin, lorsque la limite de 99 jours ne suffit plus à elle seule à le garantir.
 

Sélection de la chaîne de certificats ICA

CertCentral intègre une fonctionnalité de sélection de chaîne de certificats ICA permettant de contrôler l'autorité de certification intermédiaire DigiCert qui émet un certificat TLS public DV, OV ou EV compatible. Lorsque cette fonctionnalité est activée, vous pouvez sélectionner le certificat ICA émetteur lors de la commande d'un certificat TLS, configurer un certificat ICA émetteur par défaut pour un produit et sélectionner explicitement un certificat ICA via l'API Services.

Si la sélection de l’ICA n’est pas activée

Si la sélection de l’ICA n’a pas été activée pour votre compte, contactez votre responsable de compte DigiCert ou le support DigiCert afin de pouvoir continuer à utiliser les chaînes de certificats ICA G2 et G3 pendant que vous préparez votre transition vers la hiérarchie racine G5.

• Une fois la fonctionnalité de sélection de l’ICA activée pour votre compte, les formulaires de commande de certificats TLS publics incluent une nouvelle option de menu: Intermediate chains [Intermediate CA] > [Root CA].
• L’activation de la sélection de l’ICA ne modifie pas à elle seule le certificat ICA émetteur actuellement défini par défaut.
• Les administrateurs CertCentral peuvent contrôler les chaînes ICA disponibles dans le formulaire de demande depuis la page Product Settings du certificat.
  
  

Sélectionner le certificat ICA émetteur lors de la commande d’un certificat TLS dans CertCentral

1. Dans le Dashboard de CertCentral, dans le menu Request a Certificate, sélectionnez un certificat TLS public, tel que Basic OV.
2. Dans le formulaire de demande, développez Additional certificate options.
3. Dans le menu Intermediate chains [Intermediate CA] > [Root CA], sélectionnez la chaîne de certificats ICA émettrice: G2, G3 ou G5.
4. Saisissez les autres informations relatives à la demande de certificat et soumettez la demande.
5. DigiCert utilisera le certificat ICA émetteur sélectionné pour émettre le certificat TLS.
   
   

Configurer la chaîne de certificats ICA par défaut pour un certificat TLS dans CertCentral

Si vous le préférez, définissez la chaîne ICA émettrice par défaut pour un certificat TLS afin de ne pas avoir à la sélectionner à chaque demande de certificat.

1. Dans CertCentral, accédez à Settings > Product Settings.
2. Sur la page Product Settings, utilisez les divisions et les rôles pour déterminer le niveau de granularité des paramètres de vos produits TLS.
3. Dans la colonne Product, sélectionnez le produit TLS, tel que Basic OV.
4. Dans le menu Allowed intermediate chains [Intermediate CA] > [Root CA], sélectionnez les chaînes de certificats ICA que le demandeur du certificat est autorisé à utiliser.
5. Dans le menu Default intermediate chain, sélectionnez la chaîne de certificats ICA sélectionnée par défaut dans les formulaires de demande.
6. Pour enregistrer vos modifications, sélectionnez Save Settings.
   
   

Intégrations CertCentral Services API

Dans vos intégrations API, vous pouvez sélectionner la chaîne de certificats ICA émettrice d’un certificat en incluant le paramètre ca_cert_id dans la demande de certificat. Le paramètre ca_cert_id identifie l’autorité de certification intermédiaire qui doit émettre le certificat d’entité finale.

• Si ca_cert_id est fourni et que le certificat ICA est activé pour votre compte et votre produit, CertCentral utilise la chaîne de certificats ICA demandée pour émettre le certificat.
• Si ca_cert_id est omis, CertCentral utilise l’ICA configurée par défaut.

Exemple de demande incluant ca_cert_id

{
  "certificate": {
    "common_name": "www.example.com",
    "csr": "<CSR>",
    "signature_hash": "sha256",
    "ca_cert_id": "<ICA_CERT_ID>"
  }
}

Vérifier que la sélection de l’ICA est activée

Assurez-vous que la sélection de la chaîne de certificats ICA a été activée pour votre compte. Si une demande API spécifie une chaîne de certificats ICA qui n’est pas autorisée pour le compte ou le produit, CertCentral renvoie une erreur.

Si vous choisissez de rester temporairement sur les hiérarchies racines Global G2 et G3, vous devez fournir explicitement le ca_cert_id approprié ou configurer la chaîne de certificats ICA Global G2 ou G3 requise comme sélection par défaut du produit TLS. Consultez Configurer la chaîne de certificats ICA par défaut pour un certificat TLS dans CertCentral ci-dessus.
 

Trouver le ca_cert_id approprié

La réponse du point de terminaison Product list de Services API renvoie un tableau allowed_ca_certs contenant le nom et l’ID externe de chaque ICA pouvant émettre des certificats pour le produit. L’ID renvoyé correspond à la valeur à inclure avec le paramètre ca_cert_id.

Le point de terminaison Product info renvoie également les certificats ICA que l’utilisateur actuel est autorisé à sélectionner, ainsi que default_intermediate lorsqu’une valeur par défaut personnalisée a été configurée.

Recherchez toujours les ID ICA applicables dans votre propre compte CertCentral plutôt que de copier un ID ICA à partir d’un exemple.
 

Revue d’intégration recommandée

Pour toute intégration automatisée, déterminez si l’intégration:

1. Envoie explicitement un ID ICA DigiCert.
2. Dispose d’un paramètre propre à l’intégration qui correspond à un ID ICA DigiCert.
3. N’envoie aucune préférence d’ICA et dépend donc de la valeur par défaut de CertCentral.

Si l’intégration dépend de la valeur par défaut et qu’aucune modification de configuration n’est apportée, l’émission passera à la hiérarchie G5 applicable lorsque la valeur par défaut changera le 12 novembre 2026.

ACME Directory URLs

Les ACME Directory URLs de CertCentral incluent la sélection de la chaîne de certificats ICA dans la configuration de l’URL ACME. Lorsque vous créez une ACME Directory URL, vous pouvez éventuellement sélectionner la chaîne de certificats ICA émettrice. Consultez Add ACME credentials.

Si une chaîne de certificats ICA est sélectionnée, les demandes de certificats effectuées via cette URL ACME utilisent la chaîne sélectionnée. Si aucune chaîne de certificats ICA n’est sélectionnée, les demandes utilisent la valeur par défaut applicable de CertCentral.

Les ACME Directory URLs existantes pour lesquelles une ICA est déjà configurée continueront à utiliser cette ICA après le 12 novembre 2026. La modification de la valeur par défaut du 12 novembre ne remplace pas une sélection de chaîne de certificats ICA déjà configurée sur une ACME Directory URL.

Les URL ACME pour lesquelles aucune ICA n’est configurée suivront le chemin d’émission par défaut et passeront donc à G5 lorsque la valeur par défaut changera.

Dans CertCentral, vous pouvez modifier la chaîne de certificats ICA émettrice d’une ACME Directory URL existante. La modification s’applique à la prochaine demande de certificat effectuée via cette URL et n’affecte pas les certificats déjà émis. Consultez Update the order and domain restrictions, and issuing ICA certificate for an ACME Directory URL.

Vous pouvez basculer entre les hiérarchies G5 et Global G2 et G3, sélectionner une autre chaîne de certificats ICA autorisée ou supprimer la préférence explicite de chaîne ICA afin de rétablir le comportement par défaut de l’URL.